证书到期的代理人可观察性:建立访问租协议

一个代理人不应该因为5分钟前获得证书而开始保护工作. 最安全的预航方式是 访问租 :比较证书的剩余寿命与计划工作时间加上续航率,验证其授予的范围仍然涵盖任务,并确认批准的续航路径是健康的. 如果其中任何一个事实都缺失,应报告无确定性,而不是绿色检查. 在它成为半完成运行之前,它会出现常见的运行故障. 一个工具可以在启动时访问,接受多次电话,然后在短暂的代币到期后拒绝重要的写字. 广泛的重试可能会使情况变得更糟:它无法恢复缺失的权威, 实际情况下,仅保留非秘密的租元数据:发行商或提供商,观察到的过期期期,所需范围的摘要或名称,授予的范围,最后的续订结果,预期的工作时间和观察时间. 永远不要把标志本身放在痕迹,提示,文章设置或仪表板中. 处理访问作为一个变化的运营依赖性 认证健康不是整合的永久性属性. 它是特定运行的时间限制和范围限制的依赖性. OAuth 2.0定义了 expires in 将访问令牌的寿命为几秒钟,并将更新令牌描述为获取新的访问令牌所使用的可选凭证. 这给客户提供了两个有用的事实, 一个剩余3600秒的代币足以进行10分钟的搜索,而不足以进行50分钟的出口,当系统也需要15分钟的安全率时. 供应商合同使时间具体化. GitHub 文件 一个GitHub应用程序安装访问代币响应包括其过期,并且该代币过了一个小时后过期. GitHub的SDK可以再生安装代币,但运营商仍然需要知道运行时间是否使用更新路径,以及是否有效. 范围是一个独立的轴. RFC 6750 区分 已过期,撤销,错形或以其他方式无效的代币 ( invalid token 通常是HTTP 401) 来自缺乏足够的特权的代币 ( insufficient scope ,通常是HTTP 403). 要求新的代币可以解决第一个条件. 同样的呼叫不能制造第二次的权威. 让这些事实分开: 租事实 问题,答案 不安全的推断 expiresAt 观察到的访问窗口什么时候结束? 发行人不能更早撤销 plannedWorkSeconds 保护阶段需要多长时间? 每次运行都会在这个估计内完成. renewalMarginSeconds 为延迟和更新保留了多少空间? 每个供应商都能获得一个利率 requiredScopes 这项任务需要什么权威? 提供商将名字的解释永远相同 grantedScopes 他们遵守了什么权威? 在观察之后,补贴没有改变 lastRefreshResult 配置的续航路径是最后有效的吗? 下一次更新必须有效 因此,访问租是具有新鲜度的证据,而不是证书的副本,也不是供应商的承诺. 在第一次受保护行动之前计算起跑道 用一个小的不等式来检查时间: 根据发行商期和观察时钟计算 remaining lifetime . 用一个高百分比的时间来保护任务的一部分,而不是最近最快的运行. 利率应涵盖正常排队,时钟偏差,供应商延迟以及续订和重新检查访问所需的时间. 这些值是运营政策,而不是OAuth提供的常数. 附带装置确定了观察时间,并评估了六项合成租: 产生的运行: 这种 export worker 代币有3,600秒的跑道. 这听起来很健康,直到飞行前增加了3000秒的计划工作和900秒的续航时间. 需要的跑道为3900秒,因此在出口开始之前,分类器返回 renewal due . scope reduced 的使用期限为4个小时,但它不健康. 任务需要 records:read 和 records:write ;只观察到读取范围. 它的状态是 scope drift ,安全行动是明确的当局审查. 默默要求更广泛的补贴将跨越运营商的批准边界. legacy static token 具有所需范围,但没有可检查的期限. 归类器返回 unknown . 静态不是证据 从来没有过期:凭证可被撤销,手动转换,或由适配器未收集的供应商政策规范. 决策命令是重要的: 1. 要求和授予的权力. 缺少范围并不是时间问题. 2. 要求可检查的过期或明确的限制转换政策. 3. 在观察到的租合同到期后,停止工作. 4. 在试图保护工作之前,请在未能更新的路径上进行表面检查. 5. 与工作加差点相比. 6. 只有经过所有证据,才会标记租合同. 这项命令防止长期过期隐藏缺失范围,并防止成功的过去电话隐藏破产的更新. 没有收集秘密的更新观察 一个有用的租事件不需要访问令牌,更新令牌,客户机密,请求机构,提示,响应或绝对的认证路径. 收集最小的记录,可以改变行动判决: credentialRef 应该是一个地方不透明的参考或键字消化,而不是一个令牌前,使得攻击者更容易进行相关性. 如果域名本身披露敏感结构,存储政策识别符和密钥消化,然后在主机上保留人类可读的地图. 在三个边界下, 在跑步之前: 拒绝或路线工作,没有足够的起跑道或授权. A续订后: 重新阅读到期和授权范围;单独命令成功不是续订证明. 在授权失败后: 保持非秘密状态,提供者错误类别,观察时间和受影响的任务,然后撤销之前的健康判决. 不要把飞行前失败变成一个自动的许可升级. 更新可以更新已批准的拨款;它不应在没有可见的决定的情况下添加存储库,扩大范围,取代凭证或要求人权. 对于不可逆转或外部可见的工作,还要保留任务的无效密钥和目的地验证器. 凭证健康证明了访问,而不是结果. 诚实地处理撤销,时钟错误和运行中期过期 租模式有限制. 发行者可以在 expiresAt 之前撤销代币. 提供商可能会省略到期. 当地钟可以漂移. 在观察后,范围可以减少. 在返回错误资源的代币时,更新终点可以成功. 这些条件使得证据过时或不完整;它们不证明健康状态. 使用提供商的服务器时间,记录收藏器的观察时间,并拒绝不可能的负期. 在启动过程时检查接近受保护的操作,而不是一次. 长期运行应在安全检查站分工,并在租合同低于剩余工作估计之前续签. 如果在发送副作用请求后访问失败,请不要盲目再次尝试. 在反应消失之前,提供者可能已经采取了该作用. 通过一个无权密钥或独立的目的地搜索来调整,然后决定另一次尝试是否安全. 可重复使用的操作规则是狭窄的: start保护剂只在观察到的使用寿命涵盖计划工作加上边缘,所需范围存在,并且批准的续航路径是健康的时才开始工作. 把缺失的证据视为未知的, Sidewisp 目前处于私密预览阶段。 它的公共网站和文章库是现场的,但生产代理 健康收集,运行时间适配器,凭证监测和恢复一般没有运送. Sidewisp旨在与现有运行时间相结合,并使人权可见. 如果您需要在工作开始之前出现的失败之一是凭证租健康,您可以加入私人预览等待列表,